安全性和用户体验
安全性对任何组织都很重要，但您需要在安全性与用户体验之间取得平衡。例如，您可能拥有一个高度安全的环境，但用户难以使用。或者，您的环境可能非常用户友好，以至于访问控制不够严格。本虚拟手册中的其他部分详细介绍了安全功能。本文的目的是概述常见的安全问题以及 Citrix Endpoint Management 中可用的安全选项。
以下是每个用例需要牢记的一些关键注意事项：
-
您是想保护某些应用程序、整个设备，还是两者都保护？
-
您希望用户如何验证其身份？您想使用 LDAP、基于证书的身份验证，还是两者的组合？
-
您希望用户会话持续多长时间才超时？请记住，后台服务、Citrix ADC 以及离线访问应用程序都有不同的超时值。
-
您是否希望用户设置设备级密码和应用程序级密码？您希望允许多少次登录尝试？请记住，MAM 可能会实施额外的每应用程序身份验证要求，以及用户可能如何看待这些要求。
-
您还想对用户施加哪些限制？您是否希望用户访问 Siri 等云服务？对于您提供给他们的每个应用程序，他们可以做什么，不能做什么？您是否希望部署企业网络 (Wi-Fi) 策略，以防止在办公室内部使用蜂窝数据套餐？
应用程序与设备
首先要考虑的是您是否要保护：
-
仅某些应用程序（移动应用程序管理，或 MAM）
-
整个设备（移动设备管理，或 MDM）。
-
MDM+MAM
最常见的情况是，如果您不需要设备级控制，则只需管理移动应用程序，尤其是在您的组织支持自带设备 (BYOD) 的情况下。
使用 Citrix Endpoint Management 未管理的设备的用户可以通过应用商店安装应用程序。您可以通过应用程序策略控制对应用程序的访问，而不是通过设备级控制（例如选择性擦除或完全擦除）。根据您设置的值，策略要求设备定期检查 Citrix Endpoint Management，以确认应用程序仍被允许运行。
MDM 允许您保护整个设备，包括清点设备上所有软件的能力。如果设备已越狱、已取得 root 权限或安装了不安全的软件，MDM 允许您阻止注册。然而，这种级别的控制会让用户对允许其个人设备拥有如此大的权力感到担忧，并可能降低注册率。
身份验证
身份验证是用户体验的重要组成部分。如果您的组织已运行 Active Directory，则使用 Active Directory 是让用户访问系统的最简单方法。
身份验证用户体验的另一个重要部分是超时。高安全性环境可能要求用户每次访问系统时都登录。该选项可能不适用于所有组织或用例。
用户熵
为了增强安全性，您可以启用一项名为用户熵的功能。Citrix Secure Hub 和其他一些应用程序通常共享密码、PIN 和证书等常见数据，以确保一切正常运行。此信息存储在 Citrix Secure Hub 中的通用保管库中。如果您通过加密机密选项启用用户熵，Citrix Endpoint Management 将创建一个名为 UserEntropy 的保管库。Citrix Endpoint Management 会将信息从通用保管库移动到此新保管库中。对于 Citrix Secure Hub 或其他应用程序访问数据，用户必须输入密码或 PIN。
启用用户熵可在多个位置增加一层身份验证。因此，每当应用程序需要访问 UserEntropy 保管库中的共享数据（包括密码、PIN 和证书）时，用户都必须进行身份验证。
您可以通过阅读关于 MDX Toolkit了解有关用户熵的更多信息。要启用用户熵，您可以在客户端属性中找到相关设置。
策略
MDX 和 MDM 策略都为组织提供了极大的灵活性，但它们也可能限制用户。在某些情况下，您可能需要这种限制，但策略也可能导致系统无法使用。例如，您可能希望阻止访问 Siri 或 iCloud 等可能将敏感数据发送到外部位置的云应用程序。您可以设置策略来阻止访问这些服务，但请记住，此类策略可能会产生意想不到的后果。例如，iOS 键盘麦克风依赖于云访问。
应用程序
企业移动管理 (EMM) 分为移动设备管理 (MDM) 和移动应用程序管理 (MAM)。MDM 使组织能够保护和控制移动设备，而 MAM 则简化了应用程序交付和管理。随着 BYOD 的日益普及，您通常可以实施 MAM 解决方案（例如 Citrix Endpoint Management）来协助完成以下任务：
-
应用程序交付
-
软件许可
-
配置
-
应用程序生命周期管理
借助 Citrix Endpoint Management，您可以通过配置特定的 MAM 策略和 VPN 设置来增强这些应用程序的安全性，以防止数据泄露和其他安全威胁。Citrix Endpoint Management 为组织提供了在同一环境中同时包含 MDM 和 MAM 功能的灵活性。
除了能够将应用程序交付到移动设备之外，Citrix Endpoint Management 还通过 MDX 技术提供应用程序容器化。MDX 通过独立于平台提供的设备级加密的加密来保护应用程序。您可以擦除或锁定应用程序。应用程序受细粒度基于策略的控制。独立软件供应商 (ISV) 可以使用移动应用程序 SDK 应用这些控制。
在企业环境中，用户使用各种移动应用程序来协助其工作职责。这些应用程序可以包括来自公共应用商店的应用程序、内部开发的应用程序或本机应用程序。Citrix Endpoint Management 将这些应用程序分类如下：
公共应用程序： 这些应用程序包括公共应用商店（例如 Apple App Store 或 Google Play）中提供的免费或付费应用程序。组织外部的供应商通常会在公共应用商店中提供其应用程序。此选项允许其客户直接从互联网下载应用程序。根据用户的需求，您可能在组织中使用许多公共应用程序。此类应用程序的示例包括 GoToMeeting、Salesforce 和 EpicCare 应用程序。
Citrix® 不支持直接从公共应用商店下载应用程序二进制文件，然后使用 MDX Toolkit 对其进行包装以进行企业分发。要启用 MDX 的第三方应用程序，请联系您的应用程序供应商以获取应用程序二进制文件。您可以使用 MDX Toolkit 包装二进制文件，或将 MAM SDK 与二进制文件集成。
内部应用程序： 许多组织都有内部开发人员，他们创建提供特定功能并在组织内部独立开发和分发的应用程序。在某些情况下，一些组织可能还拥有 ISV 提供的应用程序。您可以将此类应用程序部署为本机应用程序，也可以使用 MAM 解决方案（例如 Citrix Endpoint Management）对应用程序进行容器化。例如，医疗保健组织可以创建一个内部应用程序，允许医生在移动设备上查看患者信息。然后，组织可以启用 MAM SDK 或 MDM 包装应用程序，以保护患者信息并启用对后端患者数据库服务器的 VPN 访问。
Web 和 SaaS 应用程序： 这些应用程序包括从内部网络（Web 应用程序）或通过公共网络 (SaaS) 访问的应用程序。Citrix Endpoint Management 还允许您使用应用程序连接器列表创建自定义 Web 和 SaaS 应用程序。这些应用程序连接器可以促进对现有 Web 应用程序的单点登录 (SSO)。有关详细信息，请参阅 应用程序连接器类型。例如，您可以使用基于安全断言标记语言 (SAML) 的 Google Apps SAML 进行单点登录到 Google Apps。
移动生产力应用程序： 移动生产力应用程序是 Citrix 开发的应用程序，包含在 Citrix Endpoint Management 许可证中。有关详细信息，请参阅 关于移动生产力应用程序。Citrix 还提供其他 业务就绪应用程序。ISV 使用移动应用程序 SDK 开发业务就绪应用程序。
HDX 应用程序： HDX 应用程序是您使用 StoreFront 发布的 Windows 托管应用程序。如果您有 Citrix Virtual Apps and Desktops 环境，则可以将应用程序与 Citrix Endpoint Management 集成，以使已注册用户可以使用这些应用程序。
根据您计划使用 Citrix Endpoint Management 部署和管理的移动应用程序类型，底层配置和架构有所不同。假设许多具有不同权限级别的用户组使用单个应用程序。在这种情况下，您可以创建单独的交付组来部署两个版本的应用程序。请确保用户组成员资格互斥，以避免用户设备上的策略不匹配。
您可能还希望使用 Apple 批量采购来管理 iOS 应用程序许可。此选项要求您注册 Apple 批量采购计划。并且，您必须使用 Citrix Endpoint Management 控制台来配置批量采购设置。该配置允许您使用批量采购许可证分发应用程序。各种此类用例使得在实施 Citrix Endpoint Management 环境之前评估和规划您的 MAM 策略变得非常重要。您可以通过定义以下内容来开始规划您的 MAM 策略：
应用程序类型： 列出您计划支持的不同类型的应用程序。然后，对应用程序进行分类，例如公共应用程序、本机应用程序、Citrix 移动生产力应用程序、Web 应用程序、内部应用程序和 ISV 应用程序。此外，还要根据不同的设备平台（例如 iOS 和 Android）对应用程序进行分类。此分类有助于您调整每种应用程序所需的 Citrix Endpoint Management 设置。例如：某些应用程序可能不符合包装条件。或者，少数应用程序可能需要使用移动应用程序 SDK 来启用特殊 API 以与其他应用程序交互。
网络要求： 使用适当的设置配置具有特定网络访问要求的应用程序。例如，某些应用程序可能需要通过 VPN 访问您的内部网络。某些应用程序可能需要互联网访问才能通过 DMZ 路由访问。要允许此类应用程序连接到所需的网络，您必须相应地配置各种设置。提前定义每个应用程序的网络要求有助于最终确定您的架构决策。这项工作简化了整个实施过程。
安全要求： 定义适用于单个应用程序或所有应用程序的安全要求。某些设置（例如 MDX 策略）适用于单个应用程序。会话和身份验证设置适用于所有应用程序。某些应用程序可能具有特定的加密、容器化、包装、身份验证、地理围栏、密码或数据共享要求。提前概述这些要求以简化您的部署。
部署要求： 您可能希望使用基于策略的部署，以仅允许合规用户下载已发布的应用程序。例如，您可能希望某些应用程序要求：
-
已启用基于设备平台的加密
-
设备已受管理
-
设备满足最低操作系统版本要求
-
某些应用程序仅供企业用户使用
提前概述此类要求，以便您可以配置相应的部署规则或操作。
许可要求： 记录与应用程序相关的许可要求。此类说明可帮助您有效地管理许可证使用情况，并决定是否需要在 Citrix Endpoint Management 中配置特定功能以方便许可。例如，如果您部署免费或付费的 iOS 应用程序，Apple 会通过要求用户登录其 Apple Store 帐户来对应用程序强制执行许可要求。您可以注册 Apple 批量采购计划，通过 Citrix Endpoint Management 分发和管理这些应用程序。批量采购允许用户下载应用程序，而无需登录其 Apple Store 帐户。此外，Samsung Knox 等工具具有特殊的许可要求，您需要在部署这些功能之前完成这些要求。
允许列表和阻止列表要求： 您可能希望阻止用户安装或使用某些应用程序。创建应用程序允许列表，这些应用程序会导致设备不合规。然后，设置策略以在设备不合规时触发。另一方面，某个应用程序可能可以接受使用，但由于某种原因可能属于阻止列表。在这种情况下，您可以将应用程序添加到允许列表，并指出该应用程序可以接受使用，但不是必需的。此外，请记住，新设备上预装的应用程序可能包含一些不属于操作系统的常用应用程序。这些应用程序可能与您的阻止列表策略冲突。
应用程序用例
一家医疗保健组织计划部署 Citrix Endpoint Management，作为其移动应用程序的 MAM 解决方案。移动应用程序将交付给企业用户和 BYOD 用户。IT 决定交付和管理以下应用程序：
-
移动生产力应用程序： 由 Citrix 提供的 iOS 和 Android 应用程序。
-
Citrix Files： 用于访问共享数据以及共享、同步和编辑文件的应用程序。
公共应用商店
-
Citrix Secure Hub： 所有移动设备用于与 Citrix Endpoint Management 通信的客户端。IT 通过 Citrix Secure Hub 客户端将安全设置、配置和移动应用程序推送到移动设备。Android 和 iOS 设备通过 Citrix Secure Hub 注册到 Citrix Endpoint Management。
-
Citrix Workspace 应用程序： 允许用户在移动设备上打开由 Citrix Virtual Apps 托管的应用程序的移动应用程序。
-
GoToMeeting：一款在线会议、桌面共享和视频会议客户端，允许用户通过互联网与其他的计算机用户、客户、委托人或同事实时会面。
-
SalesForce1：Salesforce1 允许用户从移动设备访问 Salesforce，并将所有 Chatter、CRM、自定义应用程序和业务流程整合在一起，为任何 Salesforce 用户提供统一的体验。
-
RSA SecurID：用于双因素身份验证的基于软件的令牌。
-
EpicCare 应用程序：这些应用程序为医疗保健从业者提供对患者图表、患者列表、日程表和消息的安全便携式访问。
-
Haiku：适用于 iPhone 和 Android 手机的移动应用程序。
-
Canto：适用于 iPad 的移动应用程序。
-
Rover：适用于 iPhone 和 iPad 的移动应用程序。
-
HDX：Citrix Virtual Apps 将 HDX 应用程序交付到 Citrix Workspace。
-
Epic Hyperspace：用于电子健康记录管理的 Epic 客户端应用程序。
ISV
-
Vocera：符合 HIPAA 标准的 IP 语音和消息移动应用程序，可通过 iPhone 和 Android 智能手机随时随地扩展 Vocera 语音技术的优势。
内部应用程序
-
HCMail：一款应用程序，可帮助撰写加密消息、在内部邮件服务器上搜索地址簿，并使用电子邮件客户端将加密消息发送给联系人。
内部 Web 应用程序
-
PatientRounding：用于不同部门记录患者健康信息的 Web 应用程序。
-
Outlook Web Access： 允许通过 Web 浏览器访问电子邮件。
-
SharePoint： 用于组织范围内的文件和数据共享。
下表列出了 MAM 配置所需的基本信息。
| 应用程序名称 | 应用程序类型 | MDX 封装 | iOS | 安卓 |
|---|---|---|---|---|
| Citrix 安全邮件 | 移动生产力应用程序 | 版本 10.4.1 及更高版本为否 | 是 | 是 |
| Citrix 安全浏览器 | 移动生产力应用程序 | 版本 10.4.1 及更高版本不支持 | 是 | 是 |
| Citrix 文件 | 移动生产力应用 | 版本 10.4.1 及更高版本不支持 | 是 | 是 |
| 思杰安全中心 | 公共应用 | 不适用 | 是 | 是 |
| Citrix Workspace 应用程序 | 公共应用 | 不适用 | 是 | 是 |
| GoToMeeting | 公共应用 | 不适用 | 是 | 是 |
| SalesForce1 | 公共应用 | 不适用 | 是 | 是 |
| RSA SecurID | 公共应用 | 不适用 | 是 | 是 |
| Epic 海库 | 公共应用 | 不适用 | 是 | 是 |
| Epic 坎托 | 公共应用 | 不适用 | 是 | 否 |
| Epic 漫游者 | 公共应用 | 不适用 | 是 | 否 |
| 史诗超空间 | HDX™ 应用程序 | 不适用 | 是 | 是 |
| 沃西拉 | ISV 应用程序 | 是 | 是 | 是 |
| 艾尺邮件 | 内部应用程序 | 是 | 是 | 是 |
| PatientRounding | Web 应用 | 不适用 | 是 | 是 |
| Outlook Web 访问 | Web 应用 | 不适用 | 是 | 是 |
| SharePoint | Web 应用 | 不适用 | 是 | 是 |
下表列出了在 Citrix Endpoint Management 中配置 MAM 策略时可以参考的具体要求。
| 应用程序名称 | 需要 VPN | 交互（与容器外部的应用程序） | 交互（来自容器外部的应用程序） | 基于设备平台的加密 |
|---|---|---|---|---|
| 思杰安全邮件 | 是 | 选择性允许 | 允许 | 不需要 |
| 思杰安全 Web | 是 | 允许 | 允许 | 不需要 |
| Citrix 文件 | 是 | 允许 | 允许 | 不需要 |
| Citrix 安全中心 | 是 | 不适用 | 不适用 | 不适用 |
| Citrix 工作区应用程序 | 是 | 不适用 | 不适用 | 不适用 |
| GoToMeeting | 否 | 不适用 | 不适用 | 不适用 |
| SalesForce1 | 否 | 不适用 | 不适用 | 不适用 |
| RSA SecurID | 否 | 不适用 | 不适用 | 不适用 |
| 史诗 海库 | 是 | 不适用 | 不适用 | 不适用 |
| 史诗 坎托 | 是 | 不适用 | 不适用 | 不适用 |
| 史诗 漫游者 | 是 | 不适用 | 不适用 | 不适用 |
| Epic 超空间 | 是 | 不适用 | 不适用 | 不适用 |
| 沃西拉 | 是 | 已阻止 | 已阻止 | 不需要 |
| HCMail 邮件 | 是 | 已阻止 | 已阻止 | 必需 |
| PatientRounding | 是 | 不适用 | 不适用 | 必需 |
| Outlook Web 访问 | 是 | 不适用 | 不适用 | 非必需 |
| SharePoint | 是 | 不适用 | 不适用 | 不需要 |
| 应用程序名称 | 代理过滤 | 许可 | 地理围栏 | 移动应用SDK | 最低操作系统版本 |
|---|---|---|---|---|---|
| 思杰安全邮件 | 必需 | 不适用 | 选择性必需 | 不适用 | 强制执行 |
| Citrix 安全 Web | 必需 | 不适用 | 非必需 | 不适用 | 强制执行 |
| 安全备忘录 | 必需 | 不适用 | 非必需 | 不适用 | 强制执行 |
| Citrix 文件 | 必需 | 不适用 | 不需要 | 不适用 | 已强制执行 |
| 思杰安全中心 | 不需要 | 批量购买 | 不需要 | 不适用 | 未强制执行 |
| Citrix Workspace 应用程序 | 不需要 | 批量购买 | 不需要 | 不适用 | 未强制执行 |
| GoToMeeting | 不需要 | 批量采购 | 不需要 | 不适用 | 未强制执行 |
| SalesForce1 | 不需要 | 批量采购 | 不需要 | 不适用 | 未强制执行 |
| RSA SecurID | 不需要 | 批量采购 | 不需要 | 不适用 | 不强制执行 |
| 埃匹克 海库 | 不需要 | 批量采购 | 不需要 | 不适用 | 不强制执行 |
| 埃匹克 坎托 | 不需要 | 批量采购 | 不需要 | 不适用 | 未强制执行 |
| 埃匹克 罗孚 | 不需要 | 批量购买 | 不需要 | 不适用 | 未强制执行 |
| 埃匹克 超空间 | 不需要 | 不适用 | 不需要 | 不适用 | 未强制执行 |
| 沃西拉 | 需要 | 不适用 | 必需 | 必需 | 强制执行 |
| HC邮件 | 必需 | 不适用 | 必需 | 必需 | 强制执行 |
| PatientRound-ing | 必需 | 不适用 | 非必需 | 不适用 | 未强制执行 |
| Outlook 网页访问 | 必需 | 不适用 | 非必需 | 不适用 | 未强制执行 |
| SharePoint | 必需 | 不适用 | 非必需 | 不适用 | 未强制执行 |
用户社区
每个组织都由在不同职能角色中运作的多元用户社区组成。这些用户社区使用您通过用户设备提供的各种资源来执行不同的任务和办公职能。用户可能在家中或远程办公室使用您提供的移动设备工作。或者，用户可能拥有自己的移动设备，这些设备允许他们访问受某些安全合规性规则约束的工具。
随着越来越多的用户群开始在工作中利用移动设备，企业移动管理 (EMM) 对于防止数据泄露变得至关重要。EMM 对于强制执行组织的安全限制也至关重要。为了实现高效且更复杂的移动设备管理，您可以对用户群进行分类。这样做可以简化用户到资源的映射，并将适当的安全策略与用户关联起来。
以下示例说明了医疗保健组织的用户群如何为 EMM 进行分类。
用户群用例
这个示例医疗保健组织为许多用户提供技术资源和访问权限，包括网络和附属员工以及志愿者。该组织已选择仅向非执行用户推出 EMM 解决方案。
该组织的用户角色和职能可分为子组，包括：临床、非临床和承包商。选定的用户会收到公司移动设备，而其他用户可以从其个人设备访问有限的公司资源。为了强制执行适当级别的安全限制并防止数据泄露，该组织决定由公司 IT 管理每个注册设备。这些设备可能是公司所有或自带设备 (BYOD)。此外，用户只能注册一台设备。
以下部分概述了每个子组的角色和职能：
临床
-
护士
-
医生（内科医生、外科医生等）
-
专家（营养师、麻醉师、放射科医生、心脏病专家、肿瘤科医生等）
-
外部医生（非雇员医生和在远程办公室工作的办公室职员）
-
家庭医疗服务（为患者上门就诊提供医生服务的办公室和移动工作人员）
-
研究专家（六个研究所的知识工作者和高级用户，从事临床研究以寻找医学问题的答案）
-
教育和培训（教育和培训领域的护士、医生和专家）
非临床
-
共享服务（办公室工作人员执行各种后台职能，包括人力资源、薪资、应付账款和供应链服务）
-
医生服务（办公室工作人员为提供商执行各种医疗保健管理、行政服务和业务流程解决方案，包括：行政服务、分析和商业智能、业务系统、客户服务、财务、管理式医疗管理、患者访问解决方案、收入周期解决方案等）
-
支持服务（办公室工作人员执行各种非临床职能，包括：福利管理、临床整合、通信、薪酬和绩效管理、设施和物业服务、人力资源技术系统、信息服务、内部审计和流程改进等）
-
慈善项目（办公室和移动工作人员执行各种职能以支持慈善项目）
承包商
-
制造商和供应商合作伙伴（通过站点到站点 VPN 在现场和远程连接，提供各种非临床支持功能）
根据上述信息，组织创建了以下实体。有关 Citrix Endpoint Management 中交付组的更多信息，请参阅部署资源。
Active Directory 组织单位 (OU) 和组
对于 组织单位 = Citrix Endpoint Management 资源：
-
OU = 临床；组 =
-
XM-护士
-
XM-医生
-
XM-专家
-
XM-外部医生
-
XM-家庭健康服务
-
XM-研究专家
-
XM-教育与培训
-
-
OU = 非临床；组 =
-
XM-共享服务
-
XM-医生服务
-
XM-支持服务
-
XM-慈善项目
-
Citrix Endpoint Management 本地用户和组
对于组=承包商，用户 =
-
供应商1
-
供应商2
-
供应商 3
-
… 供应商 10
Citrix 端点管理 交付组
-
临床-护士
-
临床-医生
-
临床-专家
-
临床-外部医生
-
临床-家庭健康服务
-
临床-研究专家
-
临床-教育和培训
-
非临床-共享服务
-
非临床-医生服务
-
非临床-支持服务
-
非临床-慈善项目
交付组和用户组映射
| 活动目录组 | Citrix 端点管理交付组 |
|---|---|
| XM-护士 | 临床-护士 |
| XM-医生 | 临床-医生 |
| XM-专家 | 临床-专家 |
| XM-外部医生 | 临床-外部医生 |
| XM-家庭健康服务 | 临床-家庭健康服务 |
| XM-研究专家 | 临床-研究专家 |
| XM-教育和培训 | 临床-教育和培训 |
| XM-共享服务 | 非临床-共享服务 |
| XM-医生服务 | 非临床-医生服务 |
| XM-支持服务 | 非临床-支持服务 |
| XM-慈善项目 | 非临床-慈善项目 |
交付组和资源映射
以下表格说明了此用例中分配给每个交付组的资源。第一个表格显示了移动应用程序分配。第二个表格显示了公共应用程序、HDX 应用程序和设备管理资源。
| 思杰端点管理交付组 | Citrix 移动应用程序 | 公共移动应用程序 | HDX 移动应用程序 |
|---|---|---|---|
| 临床-护士 | X | ||
| 临床-医生 | |||
| 临床-专家 | |||
| 临床 - 外部医生 | X | ||
| 临床 - 家庭健康服务 | X | ||
| 临床 - 研究专家 | X | ||
| 临床 - 教育和培训 | X | X | |
| 非临床 - 共享服务 | X | X | |
| 非临床 - 医生服务 | X | X | |
| 非临床支持服务 | X | X | X |
| 非临床慈善项目 | X | X | X |
| 承包商 | X | X | X |
| 思杰端点管理交付组 | 公共应用：RSA SecurID | 公共应用：EpicCare Haiku | HDX 应用程序：Epic Hyperspace | 密码策略 | 设备限制 | 自动化操作 | 网络策略 |
|---|---|---|---|---|---|---|---|
| 临床护士 | X | ||||||
| 临床医生 | X | ||||||
| 临床专家 | |||||||
| 临床外部医生 | |||||||
| 临床家庭健康服务 | |||||||
| 临床研究专家 | |||||||
| 临床教育和培训 | X | X | |||||
| 非临床共享服务 | X | X | |||||
| 非临床医生服务 | X | X | |||||
| 非临床支持服务 | X | X |
注意事项
-
Citrix Endpoint Management 在初始配置期间会创建一个名为“所有用户”的默认交付组。如果您不禁用此交付组，则所有 Active Directory 用户都有权注册到 Citrix Endpoint Management。
-
Citrix Endpoint Management 使用与 LDAP 服务器的动态连接按需同步 Active Directory 用户和组。
-
如果用户所属的组未在 Citrix Endpoint Management 中映射，则该用户无法注册。同样，如果用户是多个组的成员，Citrix Endpoint Management 只会将该用户归类为映射到 Citrix Endpoint Management 的组的一部分。
安全要求
与 Citrix Endpoint Management 环境相关的安全考虑范围可能很快变得令人应接不暇。其中有许多相互关联的组件和设置。您可能不知道从何开始，也不知道如何选择才能确保提供可接受的保护级别。为了简化这些选择，Citrix 提供了高、更高和最高安全级别的建议，如下表所示。
安全问题并非是设备注册模式（MAM、MDM+MAM（MDM 可选）或 MDM+MAM（MDM 必需））的唯一考虑因素。同样重要的是，还要审查用例要求，并在选择管理模式之前确定是否可以缓解安全问题。
高： 使用这些设置可在保持大多数组织可接受的基本安全级别的同时，提供最佳用户体验。
更高： 这些设置在安全性和可用性之间实现了更强的平衡。
最高： 遵循这些建议可在牺牲可用性和用户采用率的情况下提供高安全级别。
管理模式安全注意事项
下表指定了每个安全级别的管理模式。
| 高安全性 | 更高安全性 | 最高安全性 |
|---|---|---|
| MAM, MDM+MAM | MDM+MAM | MDM+MAM |
注意：
-
根据用例，仅限 MAM 的部署可以满足安全要求并提供良好的用户体验。
-
对于BYOD等用例，如果所有业务和安全要求仅通过应用程序容器化即可满足，Citrix 建议使用仅MAM模式。
-
对于高安全性环境（以及公司发放的设备），Citrix 建议使用MDM+MAM，以利用所有可用的安全功能。
Citrix ADC 和 NetScaler Gateway 安全注意事项
下表列出了针对每个安全级别的 Citrix ADC 和 NetScaler Gateway 建议。
| 高安全性 | 更高安全性 | 最高安全性 |
|---|---|---|
| 建议使用 Citrix ADC。MAM 和 MDM+MAM 需要 NetScaler Gateway。 | 如果 Citrix Endpoint Management 位于 DMZ 中，则使用 XenMobile 向导配置的标准 NetScaler 和 SSL 桥接。 | 具有端到端加密的 SSL 卸载 |
注意：
-
通过 NAT 或现有第三方代理/负载均衡器将 Citrix Endpoint Management 服务器暴露给 Internet 可能是 MDM 的一个选项。但是，在这种情况下，SSL 流量终止于 Citrix Endpoint Management 服务器，这会带来潜在的安全风险。
-
对于高安全性环境，具有默认 Citrix Endpoint Management 配置的 NetScaler Gateway 通常可以满足或超出安全要求。
-
对于具有最高安全需求的 MDM 注册，NetScaler Gateway 上的 SSL 终止使您能够在外围检查流量，同时保持端到端 SSL 加密。
-
定义 SSL/TLS 密码的选项。
注册安全注意事项
下表指定了 Citrix ADC 和 NetScaler Gateway 针对每个安全级别的建议。
| 高安全性 | 更高安全性 | 最高安全性 |
|---|---|---|
| 仅限 Active Directory 组成员身份。“所有用户”交付组已禁用。 | 仅限邀请的注册安全模式。仅限 Active Directory 组成员身份。“所有用户”交付组已禁用 | 注册安全模式与设备 ID 绑定。仅限 Active Directory 组成员身份。“所有用户”交付组已禁用 |
注意：
-
Citrix 通常建议您将注册限制为仅限于预定义的 Active Directory 组中的用户。此限制要求禁用内置的“所有用户”交付组。
-
您可以使用注册邀请将注册限制为仅限于拥有邀请的用户。注册邀请不适用于 Windows 设备。
-
您可以使用一次性 PIN (OTP) 注册邀请作为双因素身份验证解决方案，并控制用户可以注册的设备数量。（OTP 邀请不适用于 Windows 设备。）
设备密码安全注意事项
下表指定了针对每个安全级别的设备密码建议。
| 高安全性 | 更高安全性 | 最高安全性 |
|---|---|---|
| 建议。设备级加密需要高安全性。可通过 MDM 强制执行。可通过 MDX 策略“不合规设备行为”设置为仅限 MAM 所需。 | 通过使用 MDM、MAM 或 MDM+MAM 策略强制执行。 | 通过使用 MDM 和 MDX 策略强制执行。MDM 复杂密码策略。 |
注意：
-
Citrix 建议使用设备密码。
-
您可以通过 MDM 策略强制执行设备密码。
-
您可以使用 MDX 策略将设备密码设置为使用托管应用程序的要求；例如，对于 BYOD 用例。
-
Citrix 建议结合使用 MDM 和 MDX 策略选项，以提高 MDM+MAM 注册的安全性。
-
对于具有最高安全要求的环境，您可以配置复杂的密码策略并通过 MDM 强制执行。您可以配置自动操作，以便在设备不遵循密码策略时通知管理员或执行选择性/完全设备擦除。